财务收到一封「老板」发的邮件，说要付一笔供应商款，附件是一个看似正常的 PDF。点开后是伪装登录页，账号密码被拿走，后面被人登录邮箱继续发信。
所有邮箱、所有后台账号。这一步能挡住绝大多数「密码被偷」的后果。
任何超过一定金额的付款，必须电话或当面二次确认，不能只凭邮件/微信。
开启外链跳转提醒、附件类型限制。陌生发件人的链接默认显示完整地址。
不用讲太复杂，就讲三句话：
· 看发件人完整地址，不只看名字
· 任何要密码的页面都先怀疑
· 涉及钱的，一律电话确认
如果预算有限，至少做第 1 和第 4 条。这两条几乎零成本，能挡掉大部分常见攻击。
